Passwort-Generator
Starke Zufallspasswörter – kostenlos, ohne Tracking, ohne Cookies, ohne fremde Skripte.
Wähle die Einstellungen und klicke auf Passwort erzeugen. Das Passwort entsteht erst in diesem Moment, nur für dich, und wird nirgends gespeichert.
Warum Klarpass und nicht irgendein Online-Generator?
Die meisten Passwort-Generatoren im Netz laufen als JavaScript in deinem Browser – auf einer Seite, die oft zugleich Tag-Manager-, Analyse-, Werbe- oder A/B-Test-Skripte von Dritten lädt. Jedes dieser Skripte kann das Passwort in der Seite lesen. Wir sind bewusst den anderen Weg gegangen und legen offen, was das bedeutet:
| Klarpass | Typischer Browser-Generator | |
|---|---|---|
| Zufallsquelle | Der kryptografische Zufallsgenerator des Betriebssystems (Linux getrandom), direkt genutzt | Zufall des Browsers, teils über einen veralteten Zusatzgenerator (etwa RC4), mit Math.random als stillem Rückfall |
| Gleichverteilung | Exakt: Rejection Sampling, jedes Zeichen gleich wahrscheinlich | Oft eine einfache Modulo-Rechnung, die manche Zeichen leicht bevorzugt |
| Skripte auf der Seite | Nur unsere eigenen paar Zeilen für den Kopieren-Knopf, per Content-Security-Policy auf genau diesen Code festgelegt und ohne Netzwerkzugriff; fremde Skripte sind technisch ausgeschlossen | Häufig Tag-Manager, Tracking und Test-Skripte von Dritten |
| Cookies und Tracking | Keine, daher kein Einwilligungsbanner | Verbreitet, mit Einwilligungsbanner |
| Standardstärke | 20 Zeichen aus 94, rund 130 Bit – über dem 128-Bit-Niveau von AES-128 | Je nach Einstellung |
| Wo das Passwort existiert | Nur für eine Anfrage auf unserem gehärteten Server: in gesperrtem, geschütztem Speicher gezogen, die Kopien in unserem Dienst nach dem Senden gelöscht; übertragen per HTTPS | In deinem Browser, neben jedem Skript, das die Seite lädt |
Prüf es selbst: Öffne die Entwicklerwerkzeuge (F12), Reiter Netzwerk, und lade neu. Diese Seite macht genau eine Anfrage – sich selbst. Keine Skriptdatei, keine Schrift, kein Tracker.
Warum Klarpass sicher ist
- Echter Zufall. Jedes Zeichen kommt aus dem kryptografischen Zufallsgenerator des Betriebssystems, gleichverteilt gezogen (Rejection Sampling, keine Modulo-Verzerrung).
- Nichts wird gespeichert. Kein Konto, keine Datenbank, keine Zugriffsprotokolle, keine Cookies. Jede Antwort trägt
Cache-Control: no-store. - Kein fremder Code. Eine strikte Content-Security-Policy lässt nur diese eine Seite zu: keine externen Skripte, keine Tracker, keine CDNs, keine fremden Schriften. Das einzige Skript ist unser eigener Kopieren-Knopf; die Seite funktioniert auch ohne ihn.
- Gehärteter Server. Der Dienst läuft abgeschottet unter einem eigenen Benutzer, sein Speicher lässt sich weder auslesen noch mit einem Debugger anzapfen, und das Passwort entsteht in gesperrtem, geschütztem Speicher, der nach der Anfrage gelöscht wird.
- Die ehrliche Grenze. Das Passwort entsteht auf unserem Server und liegt dort für die Dauer einer Anfrage im Arbeitsspeicher. Es wird verschlüsselt (HTTPS) übertragen und nirgends gespeichert. Für Konten mit höchstem Schutzbedarf erzeugst du Passwörter am besten direkt in deinem Passwort-Manager.
So nutzt du Passwörter richtig
- Mindestens 16 Zeichen für wichtige Konten, 20 oder mehr für E-Mail und Online-Banking.
- Für jedes Konto ein eigenes Passwort – ein Passwort-Manager merkt sie sich für dich.
- Wo möglich zusätzlich die Zwei-Faktor-Anmeldung einschalten.
- Passwörter nie per E-Mail oder Chat weitergeben.
Häufige Fragen
- Wie stark ist ein Passwort mit 20 Zeichen?
- Mit allen vier Zeichenarten hat es rund 130 Bit Entropie. Selbst bei einer Billion Versuchen pro Sekunde dauert das Durchprobieren um ein Vielfaches länger, als das Universum alt ist.
- Warum steht vor dem Klick noch kein Passwort da?
- Damit du sicher sein kannst: Niemand hat dein Passwort vorher gesehen. Es wird erst bei deinem Klick gezogen – kein Cache, keine Suchmaschine und kein anderer Besucher hat je dieselbe Seite bekommen.
- Speichert Klarpass meine Passwörter?
- Nein. Das Passwort wird für deine Anfrage erzeugt, an dich geschickt und danach im Speicher gelöscht. Es gibt keine Datenbank und kein Protokoll, das es aufnehmen könnte.
- Warum fast ohne JavaScript?
- Jedes Skript ist Angriffsfläche und ein Weg, fremden Code nachzuladen. Das einzige Skript hier ist unser eigener Kopieren-Knopf: ein paar Zeilen, per Hash in der Content-Security-Policy festgenagelt, ohne Netzwerkzugriff. Erzeugen funktioniert ganz ohne JavaScript.
- Wer steckt hinter Klarpass?
- Frederich Engineering aus Kirchheim unter Teck. Wir bauen Sicherheitssoftware, die man prüfen kann – zum Beispiel Klarfeed, einen RSS-Reader ohne Tracking.